Пять крупных банковских групп официально запросили Комиссию по ценным бумагам и биржам (SEC) отменить правило раскрытия инцидентов кибербезопасности, утверждая, что регламент подрывает усилия по национальной безопасности и создает больше проблем, чем решает. Американская ассоциация банкиров возглавила коалицию в письме от 22 мая, в котором оспаривается основа требований по публичному раскрытию информации о киберинцидентах.
Что нужно знать:
- Пять банковских групп утверждают, что правило SEC о раскрытии информации в области кибербезопасности конфликтует с конфиденциальными отчетами, предназначенными для защиты критической инфраструктуры
- Правило требует быстрого публичного раскрытия таких инцидентов, как утечки данных, но банки уверены, что это помогает преступникам-вымогателям и вредно сказывается на усилиях по реагированию
- Коалиция банков хочет отменить пункт 1.05 из требований к отчетности по форме 8-K, которые уведомляют инвесторов о киберинцидентах
Коалиция отрасли нацелена на ключевой механизм раскрытия
В коалицию входят Ассоциация ценных бумаг и финансовых рынков, Институт банковской политики, Независимые банки общин Америки и Институт международных банкиров. Эти группы представляют тысячи финансовых учреждений по всей территории США. Их ходатайство специально нацелено на "пункт 1.05" в требованиях к отчетности SEC по форме 8-K.
Форма 8-K служит основным средством для публичного уведомления инвесторов о значимых событиях, вызывающих влияние на публичные компании.
Положение о кибербезопасности требует от компаний раскрывать информацию об инцидентах, способных существенно повлиять на их операции или финансовое положение. Банковские группы утверждают, что этот механизм приносит больше вреда, чем прозрачности.
Правило управления киберрисками SEC вступило в силу после публикации в июле 2023 года. Теперь компании должны быстро раскрывать киберинциденты, включая утечки данных и компрометирование систем. Регламент был нацелен на то, чтобы предоставить инвесторам своевременную информацию о киберрисках, которые могут повлиять на их инвестиции.
Банки указывают на операционные и безопасностные проблемы
Представители банков утверждают, что требования раскрытия информации непосредственно конфликтуют с существующими конфиденциальными системами отчетности, предназначенными для защиты критической инфраструктуры. Они утверждают, что преждевременные публичные раскрытия мешают процедурам реагирования на инциденты и расследованиям правоохранительных органов. Сложные механизмы задержки, встроенные в правило, создают путаницу между обязательными и добровольными обязательствами по раскрытию.
Преступники-вымогатели использовали требования публичного раскрытия как инструмент шантажа, согласно коалиции банков. Преступные группы теперь угрожают запустить обязательные сроки раскрытия информации, чтобы заставить жертв быстрее платить выкупы. Это развитие принципиально изменило динамику реагирования на кибеинциденты.
Группы также выражают обеспокоенность из-за страховых и правовых последствий.
Преждевременные раскрытия усложняют страховые претензии и увеличивают юридическую ответственность пострадавших компаний. Внутренние коммуникации становятся более осторожными, когда сотрудники понимают, что их обсуждения реагирования на инциденты могут стать общественным достоянием.
Рыночная путаница является еще одной значительной проблемой для банковской отрасли. Правило создает неопределенность относительно того, какие инциденты требуют немедленного раскрытия и какие можно решать в рамках существующих нормативных рамок о материальной информации. Эта путаница влияет как на компании, которые пытаются соответствовать правилам, так и на инвесторов, которые пытаются интерпретировать раскрытия.
Криптокомпании сталкиваются с аналогичными требованиями к раскрытию
Публичные криптовалютные компании испытали практическое воздействие этих требований к раскрытию. Coinbase раскрыл в начале этого месяца, что хакеры подкупили сотрудников службы поддержки, чтобы получить доступ к данным пользователей, что привело как минимум к семи искам против компании. Обмен отклонил выкупное требование в размере $20 миллионов, но оценивает, что инцидент может обойтись до $400 миллионов ущерба.
Случай Coinbase иллюстрирует, как требования к раскрытию могут усилить финансовые последствия киберинцидентов. Юридическая ответственность множится, когда компании должны немедленно информировать общественность об утечках, которые в противном случае могут быть решены более тихо.
Эта динамика особенно затрагивает компании технологии и финансовых услуг, которые обрабатывают конфиденциальные данные клиентов.
Если SEC удовлетворяет ходатайство банковской отрасли, такие компании, как Coinbase, могут получить больше гибкости в выборе времени для раскрытия киберинцидентов. Текущие жесткие сроки правила часто вынуждают компании раскрывать инциденты, прежде чем они полностью поймут их масштаб или влияние.
Альтернативная структура, предложенная коалицией банков
Банковские группы утверждают, что существующие структуры раскрытия уже защищают интересы инвесторов без специфических требований к кибербезопасности. Уже существующие правила для отчетности о материальной информации продолжат покрывать значимые киберинциденты, которые действительно влияют на производительность компании или финансовое положение.
Они считают, что этот подход будет лучше служить как интересам инвесторов, так и интересам национальной безопасности.
Ходатайство включает документированные примеры конфликтов в регулировании и путаницы участников с момента внедрения правила. Банковские группы собрали конкретные инциденты, демонстрирующие, как требования к раскрытию препятствовали расследованиям правоохранительных органов и усилиям по реагированию на инциденты.
Финансовые учреждения также указывают на свои существующие обязательства по регулированию перед другими федеральными ведомствами. Банки уже сообщают о киберинцидентах финансовым регуляторам через конфиденциальные каналы, предназначенные для защиты информации о критической инфраструктуре, при это менеджируя соответствующим надзором.
Заключительные мысли
Противостояние банковской отрасли правилам раскрытия информации о кибербезопасности SEC отражает более широкую напряженность между прозрачностью и безопасностью в регулировании финансовых услуг. Их ходатайство утверждает, что обязательное публичное раскрытие создает больше рисков, чем выгод, особенно когда преступники используют требования для целей шантажа.